💬 NLP

What Does the Server See? Understanding Privacy Leakage from Large Language Models in Split Inference

تكشف هذه الورقة عن ثغرات خصوصية حرجة في الاستدلال المجزأ للنماذج اللغوية الكبيرة من خلال تقديم ActInv، وهي طريقة تعيد بناء مدخلات العميل من التنشيطات الوسيطة رغم الدفاعات الشائعة، وتقترح مقياس عامل تضخيم الاضطراب (PAF) ودفاع PriPert لتحليل وتخفيف مخاطر التسريب هذه بشكل منهجي.

المؤلفون الأصليون: Mingyuan Fan, Yu Liu, Fuyi Wang, Cen Chen

نُشر 2026-05-25

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Mingyuan Fan, Yu Liu, Fuyi Wang, Cen Chen

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة بحثية بعنوان "ماذا يرى الخادم؟" (What Does the Server See?) باستخدام لغة بسيطة وتشبيهات إبداعية.

الصورة الكبيرة: معضلة "الانقسام"

تخيل أن لديك عقلاً آلياً عملاقاً وذكياً جداً (نموذج لغوي كبير أو LLM) يعيش في خادم سحابي قوي. وأنت تملك هاتفاً ذكياً صغيراً وضعيفاً لا يمكنه تشغيل هذا العقل العملاق بمفرده.

لحل هذه المشكلة، تستخدم الاستدلال المنقسم (Split Inference). فكر في الأمر كأنه سباق تتابع:

أنت (العميل): تقطع الأمتار الأولى من السباق. تأخذ سؤالك السري (مثلاً: "ما المشكلة في ركبتي؟") وتعالجه بما يكفي لتجهيز "عصا التتابع" (البيانات الوسيطة).
الخادم: تسلم عصا التتابع إلى الروبوت العملاق. يكمل هو بقية السباق، ويصل إلى الإجابة، ثم يرسلها إليك.

الفكرة هي أنك بإرسال "عصا التتابع" فقط بدلاً من سؤالك الخام، تحافظ على أسرارك آمنة. تسأل الورقة البحثية: هل العصا آمنة حقاً، أم يمكن للخادم قراءة أفكارك بمجرد النظر إليها؟

الهجوم: "ActInv" (قارئ الأفكاء)

اكتشف الباحثون أن "العصا" ليست آمنة. لقد صنعوا أداة تسمى ActInv تعمل مثل محقق عالي التقنية.

التشبيه: تخيل أنك ترسل للخادم صورة مشوشة وغير واضındaki لوجهك (البيانات الوسيطة). قد يظن الشخص العادي: "لا يمكنني معرفة من هذا". لكن ActInv يشبه ذكاءً اصطناعياً متطوراً للغاية يأخذ لوحة بيضاء ويبدأ في رسم وجه. يستمر في تعديل الطلاء حتى تتطابق الصورة المشوشة التي يصنعها مع الصورة المشوشة التي أرسلتها أنت تماماً. وبمجرد أن تتطابق، يعرف بالضبط كيف كان يبدو وجهك الأصلي (سؤالك السري).
النتيجة: تُظهر الورقة أن ActInv بارع بشكل مرعب. يمكنه إعادة بناء سؤالك الأصلي بدقة تزيد عن 98%، حتى لو حاولت إخفاءه بإضافة ضجيج (Static Noise) أو تشويه أجزاء من البيانات. الأمر يشبه محاولة إخفاء رسالة وسط عاصفة ثلجية، لكن المحقق لديه كاميرا حرارية يمكنها الرؤية من خلال الثلج.

لماذا يحدث هذا؟ ("الحلقات الضعيفة")

أراد الباحثون معرفة لماذا يمكن للخادم قراءة الأفكار بهذه السهولة. لقد اخترعوا مقياساً يسمى PAF (عامل تضخيم الاضطراب).

التشبيه: فكر في نموذج الذكاء الاصطناعي كأنه نفق طويل يحتوي على غرف كثيرة (طبقات). بعض الغرف مصنوعة من خرسانة سميكة وعازلة للصوت (PAF مرتفع). إذا همست هناك، سيموت الصوت ولن يسمعك الشخص في النهاية. أما الغرف الأخرى فهي مصنوعة من زجاج رقيق أو مكبرات صوت (PAF منخفض). إذا همست هناك، سيصبح صوتك أعلى وأوضح عندما يصل إلى النهاية.
الاكتشاف: وجدوا أن "الغرف الزجاجية" (تحديداً طبقات التنشيط حيث يتخذ الذكاء الاصطناعي قراراته) ضعيفة بشكل مفاجئ. فهي لا تقوم بتشفير المعلومات، بل تساعد المحقق في إعادة بناء المدخلات الأصلية. ورغم أن هذه الطبقات من المفترض أن تجعل الذكاء الاصطناعي "ذكياً"، إلا أنها تجعله "يسرب" المعلومات بالخطأ.

الدفاعات الفاشلة

قبل هذه الورقة، كان الناس يعتقدون أن إضافة "الضجيج" (مثل التشويش في الراديو) أو "التناثر" (إخفاء بعض نقاط البيانات) سيوقف المحقق.

الواقع: تُظهر الورقة أن هذه الدفاعات تشبه محاولة إيقاف إعصار بمظلة. المحقق (ActInv) ذكي جداً لدرجة أنه يستطيع تصفية الضجيج ومع ذلك يرى الرسالة الأصلية. الطريقة الوحيدة لإيقافه بهذه الأساليب هي إضافة الكثير من الضجيج لدرجة تجعل الذكاء الاصطناعي يتوقف عن العمل تماماً، مما يفسد الخدمة للجميع.

الحل: "PriPert" (الدرع الذكي)

بما أن الضجيج العشوائي لا ينفع، صمم الباحثون دفاعاً جديداً يسمى PriPert.

التشبيه: بدلاً من رمي رمال عشوائية في أعين المحقق (الضجيج العشوائي)، فإن PriPert يشبه فناناً قتالياً يعرف بالضبط أين يضرب. إنه يحسب الاتجاه الأكثر حساسية في البيانات.
- تخيل البيانات كأنها بالون. إذا وخزته بشكل عشوائي، قد يتأرجح فقط. لكن إذا وخزته في النقطة الأكثر هشاشة، سينفجر.
- يجد PriPert تلك "النقطة الهشة" في البيانات ويضيف دفعة صغيرة وموجهة. هذه الدفعة تجعل تخمين المحقق بعيداً عن المسار الصحيح، مما يجعله يخمن السؤال الخاطئ، بينما يظل "البالون" (إجابة الذكاء الاصطناعي) سليماً بما يكفي ليكون مفيداً.
النتيجة: PriPert أفضل بكثير من الأساليب القديمة. فهو ينجح في إرباك المحقق، مما يجعل من المستحيل تخمين السؤال الأصلي، مع السما Or بترك الذكاء الاصطناعي يقدم لك إجابة مفيدة.

ملخص النتائج

المخاطرة: الاستدلال المنقسم (إرسال بيانات جزئية إلى خادم) غير آمن حالياً. يمكن لخادم فضولي إعادة بناء أسئلتك الخاصة بسهولة.
السبب: أجزاء معينة من نموذج الذكاء الاصطناعي تعمل كمكبرات صوت، مما يسهل عملية الهندسة العكسية للمدخلات.
الإصلاح: الضجيج البسيط لا يعمل. أنت بحاجة إلى ضجيج ذكي وموجه (PriPert) يستهدف نقاط الضعف في النموذج خصيصاً لكسر عملية إعادة البناء دون كسر قدرة الذكاء الاصطناعي على الإجابة.

باخت-القول: إذا كنت تستخدم الاستدلال المنقسم اليوم، فإن أسرارك مرئية على الأرجى للخادم. ولكن هناك طريقة جديدة وأكثر ذكاءً لإخفائها.

ملخص تقني: ماذا يرى الخادم؟ فهم تسرب الخصوصية من النماذج اللغوية الكبيرة في الاستدلال المجزأ

1. بيان المشكلة

يعيق الطلب المرتفع على الحوسبة والذاكرة نشر النماذج اللغوية الكبيرة (LLMs) على الأجهزة ذات الموارد المحدودة. وقد برز "الاستدلال المجزأ" (Split Inference) كحل لهذه المشكلة، حيث يتم تقسيم النموذج بين عميل (يمتلك الطبقات الأولية) وخادم (يمتلك بقية الطبقات). يقوم العميل بإرسال التنشيطات الوسيطة فقط بدلاً من المدخلات الخام، مما يحافظ نظرياً على الخصوصية. ومع ذلك، يجادل المؤلفون بأن الافتراض القائل بأن التنشيطات الوسيطة تحافظ بطبيعتها على الخصوصية هو أمر غير مثبت. تبحث هذه الورقة فيما إذا كان بإمكان خادم "نزيه ولكن فضولي" (Honest-but-curious)، يمتلك وصولاً كاملاً للنموذج (White-box access) إلى بنية النموذج، إعادة بناء مدخلات العميل الحساسة من هذه التنشيطات الوسيطة.

2. المنهجية

2.1 تصميم الهجوم: ActInv

لقياس تسرب الخصوصية، يقترح المؤلفون ActInv، وهو هجوم عكسي يعيد بناء تسلسل مدخلات العميل الخام من التنشيطات الوسيطة المكتشفة ( $h_{Q1}$ ).

الآلية: على عكس طرق استعادة الرموز (Tokens) المتسلسلة، يصيغ ActInv عملية إعادة البناء كمسألة تحسين مستمرة فوق فضاء تضمين المدخلات (Input embedding space). يبدأ بتهيئة متجه تضمين مستمر عشوائي $\hat{h}_0$ ويستخدم التحسين القائم على التدرج (مثل Adam) لتقليل المسافة بين التمرير الأمامي للنموذج الفرعي من جهة العميل ( $F_C(\hat{h}_0)$ ) والتنشيطات المرصودة ( $h_{Q1}$ ).
التحويل الرقمي (Discretization): بمجرد تحسين التضمينات المستمرة، يتم إسقاطها مرة أخرى إلى رموز منفصلة عبر البحث عن أقرب جار (Nearest-neighbor search) ضمن مصفوفة تضمين مفردات النموذج.
الكفاءة: من خلال تحسين التسلسل الكامل في آن واحد بدلاً من الرموز واحداً تلو الآخر، يحقق ActInv تعقيداً زمنياً قدره $O(Tn^2)$ ، مما يوفر ميزة حوسبية كبيرة مقارنة بالطرق التكرارية مثل SipIt التي تبلغ $O(Tn^3)$ .

2.2 تحليل الضعف: عامل تضخيم الاضطراب (PAF)

لفهم لماذا تُعد طبقات معينة عرضة للاختراق، يقدم المؤلفون PAF، وهو مقياس يحدد مدى مقاومة طبقة معينة لإعادة البناء.

التعريف: يقيس PAF مدى ترجمة اضطراب صغير في مخرجات الطبقة ( $\delta$ ) إلى عدم يقين في المدخلات المستنتجة ( $\Delta$ ). ويتم اشتقاقه من مصفوفة جاكوبي (Jacobian matrix) الخاصة بالطبقة.
الرؤية: يشير PAF المرتفع إلى أن اضطرابات المخرجات الصغيرة تؤدي إلى انحرافات كبيرة في المدخلات (مما يجعل إعادة البناء صعبة)، بينما يشير PAF المنخفض إلى أن الطبقة "مستقرة" وسهلة العكس.
النتائج: يكشف التحليل عن عدم تجانس الضعف عبر الطبقات. وتحديداً، غالباً ما تظهر طبقات التنشيط غير الخطية (مثل Sigmoid/SwiGLU) وبعض طبقات الإسقاط (Projection layers) قيم PAF منخفضة، مما يجعلها "حلقات ضعيفة" حيث تفشل دفاعات الضوضاء البدائية في إحداث أخطاء إعادة بناء كبيرة.

2.3 تصميم الدفاع: PriPert

بناءً على تحليل PAF، يقترح المؤلفون PriPert، وهو آلية دفاعية تقوم بحقن اضطرابات معايرة خصائماً في التنشيطات الوسيطة.

الاستراتيجية: بدلاً من إضافة ضوضاء متماثلة (Isotropic/Random noise)، يحل PriPert مسألة تحسين مقيدة لحقن اضطرابات على الاتجاهات التي تزيد من خطأ إعادة البناء (بما يتوافق مع أكثر اتجاهات الطبقة حساسية) مع تقليل تدهور مخرجات جهة الخادم (المنفعة/Utility).
التنفيذ: يستخدم الدفاع تقريب التكامل المساري (Path integral approximation) لتقدير الانحراف في المدخلات الناتج عن الاضطراب. وجد المؤلفون أن الحل المقيد بـ $L_0$ (الاضطرابات المتفرقة/Sparse) غالباً ما يتفوق على الحلول المقيدة بـ $L_2$ ، لأنه يتجنب الحفاظ على معلومات الإشارة التي قد يستغلها المهاجم.

3. النتائج الرئيسية

3.1 فعالية الهجوم (ActInv)

إعادة بناء عالية الدقة: يحقق ActInv دقة واستدعاء (Precision and Recall) تتجاوز 98% عبر نماذج مختلفة (Qwen3, Falcon3) ومجموعات بيانات (AlpacaEval, iCliniq) دون أي دفاع.
الصمود أمام الدفاعات البدائية: تعتبر الدفاعات الشائعة مثل حقن الضوضاء الغاوسية (Gaussian noise) وتناثر التنشيط (Activation sparsification) غير فعالة إلى حد كبير. حتى مع نسب التناثر العالية (مثل 0.7) أو الضوضاء المتوسطة، يحافظ ActInv على دقة إعادة بناء عالية. فقط مستويات الضوضاء القصوى (التي تدمر منفعة النموذج) هي التي تعيق الهجوم بشكل ملموس.
الكفاءة: يتميز ActInv بكفاءة حوسبية، حيث يعيد بناء استعلام مكون من 100 رمز في حوالي 20 ثانية على وحدة معالجة رسوميات واحدة، وهو أسرع بكثير من الهجمات المتسلسلة الحديثة.

3.2 رؤى الضعف (PAF)

تباين الطبقات: تختلف قيم PAF بشكل كبير عبر الطبقات والنماذج. على سبيل المثال، تظهر طبقات التنشيط باستمرار قيم PAF منخفضة، مما يؤكد أنها مصادر رئيسية للتسرب.
الحساسية الاتجاهية: غالباً ما يكون "Max-PAF" (الحساسية للاضطرابات المتوافقة) أعلى بكثير من "Expected PAF" (الحساسية للضوضاء العشوائية)، مما يؤكد أن الدفاع بالضوضاء العشوائية هو استراتيجية غير مثالية.

3.3 أداء الدفاع (PriPert)

تحسين الخصوصية: يقلل PriPert جودة إعادة البناء بشكل كبير. عند نسبة تناثر 0.7، تنخفض دقة (Precision) هجوم ActInv إلى أقل من 30% (مقارنة بـ >60% للتناثر القياسي)، وتنهار درجات ROUGE-L، مما يشير إلى أن المحتوى الدلالي قد تم حجبه بفعالية.
الحفاظ على المنفعة: على عكس الدفاعات البدائية التي تؤدي إلى انهيار منفعة النموذج عند مستويات الاضطراب العالية، يحافظ PriPert على منفعة مقبولة عند مستويات التناثر المتوسطة (مثل 0.5). ويشير المؤلفون إلى أن "الدقة والصحة" أكثر حساسية للاضطرابات من "الوضوح والأسلوب"، لكن الدرجات الإجمالية تظل قابلة للاستخدام.
المتانة: يظل PriPert فعالاً ضد هجمات العكس الأخرى الحديثة (A1, TBS, PIA)، حيث يقلل من درجات إعادة البناء الخاصة بها بهوامش كبيرة.

4. الأهمية والمساهمات

يدعي البحث المساهمات التالية:

كشف الضعف: يقدم أول تحقيق شامل يثبت أن الاستدلال المجزأ للنماذج اللغوية الكبيرة لا يضمن الخصوصية بطبيعته. يوضح المؤلفون أن بإمكان خادم "نزيه ولكن فضولي" إعادة بناء مدخلات المستخدم بدقة عالية باستخدام هجوم قائم على التحسين، وهو هجوم فعال وبسيط نسبياً (ActInv).
المقياس النظري (PAF): يقدم PAF لقياس وشرح مدى تعرض الطبقات المختلفة في النموذج لعملية العكس بشكل منهجي، ويكشف أن طبقات التنشភាព غير الخطية معرضة للخطر بشكل مفاجئ.
الدفاع الفعال (PriPert): يقترح ويتحقق من صحة PriPert، وهو دفاع يستفيد من الحساسية الاتجاهية للطبقات لزيادة منع تسرب الخصوصية مع تقليل فقدان المنفعة. تشير النتائج إلى أن الاضطرابات المعايرة خصائماً تتفوق على الضوضاء العشوائية البدائية أو التناثر.
الآثار العملية: يسلط العمل الضوء على توتر حرج في الاستدلال المجزأ: الدفاعات القياسية غير كافية، والحماية الفعالة للخصوصية تتطلب معايرة دقيقة للاضطرابات لتجنب تدمير منفعة النموذج.

يخلص المؤلفون إلى أنه بينما يوفر الاستدلال المجزأ فوائد حوسبية، فإنه يتطلب آليات خصوصية قوية وغير بدائية ليكون قابلاً للتطبيق في المجالات الحساسة مثل الرعاية الصحية. ويقترح العمل المستقبلي تصميم ضغط واعي بالخصوصية ودوال تنشيط حساسة للخصوصية.